虚拟手机号验证码APP的原理与安全性探讨

谢邀。

题主你好，我最近遇到了一个挺让人纠结的事儿，想和大家探讨一下，也希望能得到一些专业的指点。

事情是这样的，前段时间我需要注册一个国外的服务网站，但它强制要求手机号验证。我又不想用自己的私人号码去注册，一来怕泄露，二来也担心以后会收到垃圾短信。然后我就在应用商店里搜，果然找到了一大堆提供“虚拟手机号”接收验证码的APP，比如一些知名的和很多没听过的。

用起来确实方便，随便选一个国家的号码，点一下“获取验证码”，APP里就能显示出短信内容，成功帮我注册了。但用完之后，我心里反而有点不踏实了。

我开始琢磨，这玩意儿到底是怎么运作的？它的原理是什么？

我自己的猜想是：这些APP的运营方肯定是手握一大波实体SIM卡，或者和某些国家的电信运营商有合作，拿到了很多号码的接收和查询权限。然后把这些号码共享出来，给我们这些用户使用。相当于这个号码是一个“公共收件箱”，我们所有人都在看同一个收件箱里的短信。

想到这个“公共收件箱”的比喻，我瞬间就对它的安全性产生了一大堆疑问：

1. 隐私泄露风险：我能看到这个号码收到的验证码，那其他使用同一个号码的人是不是也能同时看到？如果他们正在用这个号码重置某个重要账户的密码，那我的APP里岂不是能实时看到他的验证码？这太可怕了。虽然可能只是临时用一下，但万一撞上呢？
2. 号码回收与复用：我今天用这个号码注册了A网站，明天这个号码被回收，分配给了另一个用户。他是不是就能用“找回密码”功能，通过短信验证码轻松登录我的A网站账户？那我用这个虚拟号注册的所有账号，岂不是都处在极度不安全的状态？
3. APP本身是否可信：这些提供号码的APP平台本身，是不是在默默地记录所有的短信内容？包括我收到的每一个验证码，以及它对应的服务网站？这不就等于把我所有的注册行为和数据都暴露给了这个陌生的第三方吗？他们拿这些数据去做什么，我们完全不知道。

我自己也尝试查了一些资料，但众说纷纭。有的说这些号码是动态池，每次获取都是随机的，用完即弃，降低了重复使用的风险；但也有人说本质上就是号码共享，风险依然存在。

所以，我特别想在这里求助和探讨一下：

有没有了解通信行业或者网络安全领域的大佬，能给大家科普一下这类虚拟短信APP的技术原理？它的实现方式到底是我猜的那样吗？

更重要的是，从安全角度，使用这类APP到底有多大风险？ 它适合用来注册哪些类型的网站（比如不重要的论坛），又绝对应该避免用来注册哪些类型的服务（比如银行、支付宝、微信等核心账户）？

我们应该如何辨别相对更安全的虚拟号码服务？是看用户量、口碑，还是有什么技术上的判断标准？

希望各位能不吝赐教，分享一下你们的看法和经验，这真的能帮到很多和我有同样困惑的人。先谢谢大家了！

查看更多